Google odmawia dostepu przez rzekome wirusy, trojany

**Posty:** 133 · przez **Matteo** 19 Wrz 2008, 19:17

Witam, a oto mój problem:

Co to ma być?
Zeskanowałem kasprem kompa to miałem jakiegos backdora, ale to sobie usunąłem i jest czysto na moje oko.
Dzieje sie tak po włączeniu firefoxa.
Kiedy wpisze w szukajkę google na pasku firefoxa to działa normalnie. Ze strony startowej jednak już nie, wyswietla się to co powyżej.
Czy to jakiś błąd google, firefoxa, mojej sieci? Czy jednak zrobić logi i zaczynamy sprawdzanie?

**Posty:** 18165 · przez **wojtas** 19 Wrz 2008, 19:22

Matteo napisał(a):Czy jednak zrobić logi i zaczynamy sprawdzanie?

tak daj z hijacka i combofixa w code ;P

**Posty:** 133 · przez **Matteo** 19 Wrz 2008, 19:24

hijack:

Kod: Zaznacz wszystko: Logfile of HijackThis v1.99.1 Scan saved at 19:23:42, on 2008-09-19 Platform: Windows XP Dodatek SP. 1 (WinNT 5.01.2600) MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106) Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\WINDOWS\Explorer.EXE C:\WINDOWS\system32\spoolsv.exe C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe C:\WINDOWS\System32\nvsvc32.exe C:\WINDOWS\System32\RUNDLL32.EXE C:\WINDOWS\SOUNDMAN.EXE C:\WINDOWS\ALCWZRD.EXE C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe C:\WINDOWS\System32\ctfmon.exe C:\Program Files\Messenger\msmsgs.exe D:\Program Files\Lavalys\EVEREST Home Edition\everest.bin D:\Program Files\Konnekt\konnekt.exe C:\Program Files\Mozilla Firefox\firefox.exe C:\WINDOWS\System32\svchost.exe D:\HijackThis.exe R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896 R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Łącza O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Program Files\Adobe\Acrobat 6.0 CE\Reader\ActiveX\AcroIEHelper.dll O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup O4 - HKLM\..\Run: [nwiz] nwiz.exe /install O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit O4 - HKLM\..\Run: [Skrót do strony właściwości High Definition Audio] HDAudPropShortcut.exe O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE O4 - HKLM\..\Run: [AlcWzrd] ALCWZRD.EXE O4 - HKLM\..\Run: [SmartSync - ScheduleSync] D:\PROGRA~1\MOBILE~1\SMARTS~1\SCHEDU~1.EXE O4 - HKLM\..\Run: [AVP] "C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe" O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background O4 - Startup: Adobe Gamma.lnk = C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe O8 - Extra context menu item: Dodaj do blokowanych banerów - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 7.0\ie_banner_deny.htm O9 - Extra button: Statystyki dla ochrony WWW - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 7.0\SCIEPlgn.dll O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm O20 - Winlogon Notify: klogon - C:\WINDOWS\System32\klogon.dll O23 - Service: Adobe LM Service - Adobe Systems - C:\Program Files\Common Files\Adobe Systems Shared\Service\Adobelmsvc.exe O23 - Service: Kaspersky Internet Security 7.0 (AVP) - Kaspersky Lab - C:\Program Files\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe

a z combofixa zaraz wyprodukuje moment

edit.
Kaspersky krzyczy ze combofix z forum zawiera wirusa!

pojawiło się coś takiego na dysku c:/ :

Kod: Zaznacz wszystko: PUSHD "C:\32788R22FWJFW\" IF NOT EXIST C:\WINDOWS\system32\cmd.exe GOTO Not_NT VER 1>temp00 C:\WINDOWS\system32\FIND.exe "Microsoft Windows [Version 5.2.3790]" temp00 1>NULL IF NOT ERRORLEVEL 1 GOTO Not_NT C:\WINDOWS\system32\FIND.exe "Windows XP" temp00 1>NULL HANDLE | SED -r "/<Non-existant Process> pid: ([0-9]*) .*/!d; s//@Nircmd KillProcess \/\1/" 1>temp00.bat CALL temp00.bat PV -o"%i\t%l" | SED "/\t.*\\nircmd\.inf$/!d; s///; s/./@pv -kfi &/" 1>temp01.bat CALL temp01.bat DEL /Q temp0?.bat temp00 2>NULL ============================================= ALLUSERSPROFILE=C:\Documents and Settings\All Users APPDATA=C:\Documents and Settings\Matteo\Dane aplikacji CFLDR=32788R22FWJFW CLIENTNAME=Console CommonProgramFiles=C:\Program Files\Common Files COMPUTERNAME=MATEUSZ-T3N4QIH ComSpec=C:\WINDOWS\system32\cmd.exe HOMEDRIVE=C: HOMEPATH=\Documents and Settings\Matteo KMD=CF4667.exe LOGONSERVER=\\MATEUSZ-T3N4QIH NUMBER_OF_PROCESSORS=1 OS=Windows_NT Path=C:\32788R22FWJFW;C:\WINDOWS\system32;C:\WINDOWS;C:\WINDOWS\system32\wbem;C:\WINDOWS\system32;C:\WINDOWS;C:\WINDOWS\system32\wbem;C:\Program Files\Common Files\Adobe\AGL PATHEXT=.cfexe;.COM;.EXE;.BAT;.CMD;.VBS;.VBE;.JS;.JSE;.WSF;.WSH PROCESSOR_ARCHITECTURE=x86 PROCESSOR_IDENTIFIER=x86 Family 15 Model 4 Stepping 1, GenuineIntel PROCESSOR_LEVEL=15 PROCESSOR_REVISION=0401 ProgramFiles=C:\Program Files PROMPT=$ SESSIONNAME=Console sfxcmd="C:\Documents and Settings\Matteo\Pulpit\ComboFix.exe" sfxname=C:\Documents and Settings\Matteo\Pulpit\ComboFix.exe SYSTEM=C:\WINDOWS\system32 SystemDrive=C: SystemRoot=C:\WINDOWS TEMP=C:\DOCUME~1\Matteo\USTAWI~1\Temp TMP=C:\DOCUME~1\Matteo\USTAWI~1\Temp USERDOMAIN=MATEUSZ-T3N4QIH USERNAME=Matteo USERPROFILE=C:\Documents and Settings\Matteo windir=C:\WINDOWS ============================================= IF NOT DEFINED sfxname GOTO END CALL sfx.cmd IF /I "C:\32788R22FWJFW" NEQ "C:\32788R22FWJFW" GOTO Abort IF EXIST "C:\DOCUME~1\Matteo\USTAWI~1\Temp\32788R22FWJFW32788R22FWJFW.log" DEL "C:\DOCUME~1\Matteo\USTAWI~1\Temp\32788R22FWJFW32788R22FWJFW.log" SteelWerX Extended Configuration Access Control Lists Written by Bobbi Flekman 2006 (C) Ownerchange for "C:\WINDOWS\system32\cmd.exe" to Administrators group was successful rem COPY /Y "C:\WINDOWS\system32\cmd.exe" "C:\WINDOWS\system32\CF4667.exe" ( SET "FileName=ComboFix" SET "FilePath=C:\Documents and Settings\Matteo\Pulpit\" ) SET FileName 1>FileName 2>NULL GREP -isqx "FileName=[-[:alnum:]@.]*" FileName || ( Nircmd infobox "You cannot rename ComboFix as ComboFix~n~nPlease use another name, preferbaly made up of alphanumeric characters" "" GOTO END ) DIR /AD/B C:\* | FINDSTR -IVX ComboFix 1>dirname00

udało sie mam combofixa:

Kod: Zaznacz wszystko: ComboFix 08-09-16.05 - Matteo 2008-09-19 20:27:59.7 - NTFSx86 Microsoft Windows XP Professional 5.1.2600.1.1250.1.1045.18.277 [GMT 2:00] Uruchomiony z: C:\Documents and Settings\Matteo\Pulpit\ComboFix.exe * Utworzono nowy punkt przywracania [color=red][b]UWAGA - TEN KOMPUTER NIE MA ZAINSTALOWANEJ KONSOLI ODZYSKIWANIA !![/b][/color] . ((((((((((((((((((((((((((((((((((((((( Usunięto ))))))))))))))))))))))))))))))))))))))))))))))))) . C:\WINDOWS\system32\sny.exe . ((((((((((((((((((((((((( Pliki utworzone od 2008-08-19 do 2008-09-19 ))))))))))))))))))))))))))))))) . 2008-08-22 14:19 . 2008-08-22 14:19 45 --a------ C:\WINDOWS\system32\initdebug.nfo . (((((((((((((((((((((((((((((((((((((((( Sekcja Find3M )))))))))))))))))))))))))))))))))))))))))))))))))))) . 2008-09-19 18:32 293,152 --sha-w C:\WINDOWS\system32\drivers\fidbox2.dat 2008-09-19 18:32 16,873,504 --sha-w C:\WINDOWS\system32\drivers\fidbox.dat 2008-09-19 16:32 --------- d-----w C:\Documents and Settings\All Users\Dane aplikacji\Kaspersky Lab 2008-09-18 23:01 32,348 --sha-w C:\WINDOWS\system32\drivers\fidbox2.idx 2008-09-18 23:01 234,308 --sha-w C:\WINDOWS\system32\drivers\fidbox.idx 2008-08-14 11:40 --------- d-----w C:\Documents and Settings\Matteo\Dane aplikacji\Winamp 2008-08-13 10:38 980 ----a-w C:\WINDOWS\system32\drivers\fwdrv.err 2008-08-09 11:45 42,496 ----a-w C:\WINDOWS\system32\ftp.exe 2008-08-09 11:45 16,896 ----a-w C:\WINDOWS\system32\tftp.exe 2008-08-08 21:45 --------- d-----w C:\Program Files\Sunbelt Software 2008-08-08 09:34 133,632 ----a-w C:\WINDOWS\system32\sfc_os.dll 2008-08-06 17:07 96,976 ----a-w C:\WINDOWS\system32\drivers\klin.dat 2008-07-24 11:09 87,855 ----a-w C:\WINDOWS\system32\drivers\klick.dat 2008-07-08 16:02 558,142 ----a-w C:\WINDOWS\java\Packages\5NXRHJLN.ZIP 2008-07-08 16:02 155,995 ----a-w C:\WINDOWS\java\Packages\I9R3R5F7.ZIP . ((((((((((((((((((((((((((((((((((((( Wpisy startowe rejestru )))))))))))))))))))))))))))))))))))))))))))))))))) . . *Uwaga* puste wpisy oraz domyślne, prawidłowe wpisy nie są pokazane REGEDIT4 [HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "CTFMON.EXE"="C:\WINDOWS\System32\ctfmon.exe" [2002-09-20 13312] "MSMSGS"="C:\Program Files\Messenger\msmsgs.exe" [2002-08-20 1511453] [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] "NvCplDaemon"="C:\WINDOWS\System32\NvCpl.dll" [2006-10-22 7700480] "NvMediaCenter"="C:\WINDOWS\System32\NvMcTray.dll" [2006-10-22 86016] "SmartSync - ScheduleSync"="D:\PROGRA~1\MOBILE~1\SMARTS~1\SCHEDU~1.EXE" [2005-10-21 45056] "nwiz"="nwiz.exe" [2006-10-22 C:\WINDOWS\system32\nwiz.exe] "Skrót do strony właściwości High Definition Audio"="HDAudPropShortcut.exe" [2004-03-17 C:\WINDOWS\system32\Hdaudpropshortcut.exe] "SoundMan"="SOUNDMAN.EXE" [2004-10-13 C:\WINDOWS\SOUNDMAN.EXE] "AlcWzrd"="ALCWZRD.EXE" [2004-10-13 C:\WINDOWS\ALCWZRD.EXE] [HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run] "CTFMON.EXE"="C:\WINDOWS\System32\CTFMON.EXE" [2002-09-20 13312] C:\Documents and Settings\Matteo\Menu Start\Programy\Autostart\ Adobe Gamma.lnk - C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe [2005-03-16 113664] [HKEY_LOCAL_MACHINE\software\microsoft\security center] "UpdatesDisableNotify"=dword:00000001 "AntiVirusDisableNotify"=dword:00000001 "AntiVirusOverride"=dword:00000001 "FirewallOverride"=dword:00000001 [HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\KasperskyAntiVirus] "DisableMonitoring"=dword:00000001 R3 klim5;Kaspersky Anti-Virus NDIS Filter;C:\WINDOWS\System32\DRIVERS\klim5.sys [2007-12-13 24592] S3 siusbmod;siusbmod;C:\WINDOWS\System32\DRIVERS\siusbmod.sys [2005-11-30 27008] . . ------- Skan uzupełniający ------- . FireFox -: Profile - C:\Documents and Settings\Matteo\Dane aplikacji\Mozilla\Firefox\Profiles\5d5yhaai.Matteo profil\ FF -: plugin - D:\Program Files\Adobe\Acrobat 6.0 CE\Reader\browser\nppdf32.dll . ************************************************************************** catchme 0.3.1361 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net Rootkit scan 2008-09-19 20:32:39 Windows 5.1.2600 Dodatek Service Pack. 1 NTFS skanowanie ukrytych procesów ... skanowanie ukrytych wpisów autostartu ... skanowanie ukrytych plików ... skanowanie pomyślnie ukończone ukryte pliki: 0 ************************************************************************** . Czas ukończenia: 2008-09-19 20:34:06 ComboFix-quarantined-files.txt 2008-09-19 18:34:03 Przed: 11,438,387,200 bajt˘w wolnych Po: 11,449,257,984 bajt˘w wolnych 83

**Posty:** 18165 · przez **wojtas** 21 Wrz 2008, 11:55

skasuj:

O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm